[强网杯 2019]随便注

本次分析的题目来自2019年强网杯的WEB赛题“随便注”。这道题主要考察的是SQL注入漏洞中的堆叠注入技术。在比赛中，选手需要通过构造合适的注入语句，绕过正则过滤，获取数据库中的关键信息，最终得到flag。本题涉及的漏洞类型为CWE - 89（SQL注入），在ATT&CK框架中，对应的技术为T1190（Exploit Public-Facing Application），即利用面向公众的应用程序漏洞。

以buuctf的强网杯2019为例的堆叠注入

SQL Injection8(堆叠注入)——强网杯2019随便注 前言 前面参加强网杯线上赛，亲身体验了一把ctf从入门到入土，从打ctf变成被ctf打… 这里结合里面的题来对里面的知识点进行一个学习总结 随便注是一道sql注入题，因为过滤规则十分强大，所以很难… 这里会用到堆叠注入的知识，堆叠注入前面有所了解，觉得并不难，所以也没练习过，但做这道题的时候就又些懵了。 堆叠注入原理 在SQL中，...

输入 1' union select database()# 会发现被过滤了select、where等关键字 但是“；”没有被过滤，尝试用堆叠注入 堆叠注入，简单来说就是在表单内用分号隔开，形成一行执行多个语句的效果 输入 1';show tables;# 输入 1';show columns from `1919810931114514`;# 发现flag字段，但是怎么绕过select...

本文通过一个SQL注入实例，展示了如何利用堆叠注入和HANDLER语句绕过WAF防护获取敏感数据的技术研究。作者首先通过简单的输入测试确认存在字符型注入漏洞，随后使用ORDER BY确定列数。当发现传统UNION注入被过滤后，转而采用堆叠注入技术，通过分号执行多条SQL语句，成功获取数据库表结构信息。重点介绍了利用MySQL的HANDLER语句直接读取数字命名表中的flag数据，该技术可绕过常见SELECT过滤。文章包含详细的技术解析、攻击链说明和防御建议，并特别强调所有技术仅限合法授权下的安全研究使用。

首先尝试直接去注入，发现好像并没有什么用 尝试使用union盲注，preg_match() 函数可以根据正则表达式对字符串进行搜索匹配，发现全被禁了，所以排除union注入 使用show，发现可以查看表名 使用desc指令分别去查看这两个表结构的详细信息，这里1919810931114514这个表名必须要使用括起来。 因为发现这里过滤了很多函数，因此考虑怎么去绕过。 这里采用了预处理的语句。先把 select * from ` 1919810931114514 `，通过16进制编码变成一串数字